dll劫持提权——本质上类似水坑攻击，就是你替换管理员的某应用加载的dll，权限高的管理员运行该应用就中招了

原理：Windows 程序启动的时候需要 DLL。如果这些 DLL 不存在，则可以通过在应用程序要查找的位置放置恶意 DLL 来提权。通常，Windows 应用程序有其预定义好的搜索 DLL 的路径，它会根据下面的顺序进行搜索：

1、应用程序加载的目录
2、C:\Windows\System32
3、C:\Windows\System
4、C:\Windows
5、当前工作目录 Current Working Directory，CWD
6、在 PATH 环境变量的目录（先系统后用户）

过程：信息收集-进程调试-制作 dll 并上传-替换 dll-启动应用后成功

需要满足条件：你可以替换app的dll，管理员运行该app，这样你才可以获得提权结果。==》整体看比较被动，鸡肋！需要对手配合你。

DLL注入是一种允许攻击者在另一个进程的地址空间的上下文中运行任意代码的技术。如果进程中以过多的权限运行，那么可以会被攻击者加以利用，以便以DLL文件的形式执行恶意代码以提升权限。

手动注入

通过Metasploit的msfvenom创建DLL，该文件可以生成包含特定有效内容的DLL文件。应该注意的是，如果DLL被注入的进程是64位，那么应该使用64位有效负载。

Msfvenom - DLL生成

下一步是设置metasploit监听，以便在将恶意DLL注入进程后接受连接。

Metasploit监听配置

有许多可以执行DLL注入的工具，但最可靠的工具之一就是使用CreateRemoteThread技术的Remote DLL Injector，它可以将DLL注入启用ASLR的进程。进程ID和DLL的路径是工具需要的两个参数：

从Remote DLL Injector执行的那一刻起，为了实现DLL注入，将提供执行的完整步骤。

Remote DLL Injector - DLL注入方法

如果DLL被成功注入，它将返回一个具有进程权限的更改会话。因此，具有比标准更高权限的进程可能会被滥用以进行特权升级。

特权升级 - DLL注入

Metasploit注入

Metasploit框架具有执行DLL注入的特定模块。它只需要链接到一个传输器会话，并指定进程的PID和DLL的路径。

Metasploit - DLL注入模块

Metasploit - DLL注射

PowerSploit

通过DLL注入提升权限也可以与PowerSploit一起使用。msfvenom可以用于生成恶意DLL，然后通过任务管理器可以获得目标进程的PID。如果进程作为SYSTEM运行，则注入的DLL将以相同的权限运行。

发现进程ID

Invoke-DLLInjection模块将执行DLL注入，如下所示：

PowerSploit - DLL注入

DLL内的有效内容将被执行，并且将获得SYSTEM权限。

DLL执行与系统特权

参考

https://clymb3r.wordpress.com/2013/04/06/reflective-dll-injection-with-powershell/
http://blog.opensecurityresearch.com/2013/01/windows-dll-injection-basics.html
https://disman.tl/2015/01/30/an-improved-reflective-dll-injection-technique.html
https://github.com/stephenfewer/ReflectiveDLLInjection
https://www.nettitude.co.uk/dll-injection-part-two/